El Instituto de Salud Pública (ISP) fue la nueva víctima de un ciberataque, evidenciando una vez más la vulnerabilidad digital de las instituciones del Estado. El incidente, ocurrido el 27 de junio, mantuvo su sitio web fuera de línea hasta el lunes de esta semana, afectando múltiples trámites y confirmando el avance de estos delitos y la fragilidad de la infraestructura tecnológica en Chile.

Este tipo de casos no son hechos aislados. En 2022, por ejemplo, se registraron filtraciones en el Estado Mayor Conjunto, un ciberataque al Poder Judicial y al Sernac, entre otros incidentes que ponen en evidencia un problema estructural en la protección digital del Estado chileno.

Según el Reporte de Ciberseguridad 2025 del Centro de Ciberinteligencia (CCI) de Entel Digital, el cibercrimen organizado aumentó un 30% durante 2024. El informe atribuye este crecimiento, en gran parte, al uso de inteligencia artificial para ejecutar ataques de mayor alcance y al auge de plataformas Ransomware-as-a-Service (RaaS), que han facilitado la participación de actores con menos experiencia técnica.

El documento también advierte que el ransomware se consolidó como la principal amenaza en América Latina y el Caribe. Solo en 2024, este tipo de ataques representó el 38% de los incidentes registrados en la región. En cuanto a los países más afectados, Brasil lideró con un 46% de los casos, seguido por México (17%), Argentina (10%) y Chile (7%), posicionando al país como el cuarto más golpeado por esta modalidad de ataque.

Omar Henríquez, profesor de Ingeniería Civil Industrial Online de la Universidad Alberto Hurtado, señala que las instituciones públicas chilenas siguen siendo vulnerables debido a varios factores: falta de capacitación del personal, escaso cumplimiento de protocolos de seguridad y desatención de los propios funcionarios. Como ejemplo, advierte que muchos empleados utilizan correos institucionales en dispositivos personales sin ningún tipo de monitoreo, lo que representa un grave riesgo de fuga de información.

Además, subraya que la obsolescencia de los sistemas y hardware, los problemas presupuestarios y la ausencia de una cultura integral de ciberseguridad agravan aún más la situación.

En esa línea, Matías Greco, director del Magíster en Data Science de la Facultad de Ingeniería de la Universidad San Sebastián, plantea que el componente humano sigue siendo el eslabón más débil en la cadena de ciberseguridad. El académico sostiene que prácticas como abrir correos maliciosos o instalar aplicaciones fraudulentas siguen siendo comunes entre trabajadores, facilitando el acceso de terceros a claves y cuentas institucionales.

Nivel de preparación institucional

A fines de 2023, se aprobó en tiempo récord la Ley Marco sobre Ciberseguridad e Infraestructura Crítica, con el objetivo de fortalecer la defensa digital del país y establecer una institucionalidad robusta. A partir de esta legislación se creó la Agencia Nacional de Ciberseguridad (ANCI), con facultades fiscalizadoras, regulatorias y sancionatorias. También se conformaron el Consejo Multisectorial sobre Ciberseguridad y el Equipo Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT Nacional).

Entre sus objetivos, la ley promueve la implementación de estándares de seguridad, mejora los tiempos de respuesta ante incidentes y obliga a la colaboración público-privada, diferenciando responsabilidades según el tamaño y el nivel de riesgo de cada entidad.

Greco destaca que si bien Chile aún se encuentra en una etapa temprana, la nueva ley obliga a las instituciones a tomar acción, designar responsables y responder a los nuevos desafíos.

Juan Nicolossi, académico de la Facultad de Ingeniería de la Universidad de los Andes, explica que es necesario distinguir entre las capacidades del Estado en general y las de la ANCI en particular. Según el experto, mientras el Estado en su conjunto muestra distintos niveles de preparación, la ANCI cuenta con una base sólida gracias a su origen en el CSIRT del Ministerio del Interior.

Nicolossi argumenta que Chile ha optado por ordenar jurídicamente su ecosistema de ciberseguridad más que unificar protocolos, con avances como la Ley Marco de Ciberseguridad, la Ley de Delitos Informáticos y la Ley de Protección de Datos Personales. A pesar del largo proceso legislativo, valora que hoy estas normas estén vigentes y que su implementación haya sido bien recibida por la comunidad técnica del país. A su juicio, “la ANCI está haciendo un trabajo ejemplar”.

Riesgos asociados

En términos de vulnerabilidades, Nicolossi sostiene que los problemas no se limitan a los sistemas informáticos, sino que responden a fallas estructurales dentro del Estado. Entre ellas, identifica tres principales: la falta de presupuesto y personal especializado; la falta de coordinación entre organismos por la autonomía institucional; y una superficie de ataque muy extensa, agravada porque no todas las instituciones están adheridas a la Red de Conectividad del Estado, lo que genera asimetrías y expone zonas débiles.

Jaime Urzúa, abogado experto en tecnología y ciberseguridad de Alessandri Abogados, señala que las fallas técnicas más frecuentes son el uso de sistemas obsoletos, la falta de monitoreo en tiempo real y contraseñas débiles sin autenticación adicional. No obstante, coincide con otros expertos en que el principal factor sigue siendo humano. Para Urzúa, si no se refuerzan las capacidades técnicas y el conocimiento en ciberseguridad, Chile no logrará establecer una cultura digital protectora y consciente del riesgo.